Yapay zeka PHP'de bazıları on yıldan eski açıklar buldu: Avrupa devlet sitelerini kapatıyor

Açıkların bir kısmı PHP'nin kodunda on yıldan uzun süre, geliştiricilerin gözü önünde duruyordu ve kimse ne kadar tehlikeli olduklarını fark etmedi. Onları bulmak için yapay zeka gerekti. Şimdi Avrupa genelinde hükümetler sitelerinin bazı bölümlerini kapatıyor, Wikipedia'yı yöneten Wikimedia Vakfı da bir dizi yardımcı hizmeti devre dışı bıraktı.

Çoğu insan PHP'yi hiç duymadı ama her gün kullanıyor. Portallar, online mağazalar, devlet sayfaları ve milyonlarca sitenin üzerine kurulduğu WordPress gibi sistemler onunla çalışıyor. Aktarılan verilere göre programlama dili bilinen web sitelerinin neredeyse yüzde 70'i PHP kullanıyor. Bu, internetin yüzde 70'inin hacklendiği anlamına gelmiyor. Sorunun her yerde bulunan bir teknolojide olduğu anlamına geliyor.

Açıklar basit bir nedenle tehlikeli: belirli koşullarda bir saldırgan, kullanıcı adı ve şifre olmadan savunmasız sunucuda kendi komutlarını çalıştırabiliyor. Bu da hassas verilerin çalınmasına ve sitenin içeriğinin değiştirilmesine kapı açıyor. İkinci açık, sunucunun bellekte tuttuğu verilerin bir kısmını ifşa edebiliyor.

Finlandiya'dan Oxford'a

Finlandiya önlem olarak kamu online hizmetlerinin bir kısmını kapattı, Hollanda'daki kurumlar da benzer önlemler aldı. İngiltere'de en az 32 devlet hizmeti hâlâ erişilemez durumda, dört hizmet daha aksayarak çalışıyor. Aralarında Edinburgh ve Oxford'un da bulunduğu bazı yerel yönetimlerin siteleri ile BBC'nin online hizmetlerinin bazı bölümleri de geçici olarak çöktü. İngiliz yetkililer kritik kamu hizmetlerinin risk altında olmadığını söylüyor. Kapatma, bu kurumların hacklendiği anlamına gelmiyor. Bu bir ihtiyat önlemi.

Daha kötü haber kronoloji. Amazon Web Services, açığı istismar girişimlerini güvenlik yamalarının yayımlanmasından dört gün önce, daha 17 Ekim'de tespit etmiş. Bu da birinin açıkları yöneticilerden önce bildiği anlamına geliyor. Ne kadar süredir bildiğini ve bir yere sızmayı başarıp başarmadığını şimdilik kimse doğrulayamıyor.

İki ucu keskin bir kılıç

Keşifte, Google ve OpenAI'nin yapay zeka modellerinin yardımıyla birçok şirketten uzmanlar yer aldı. Hikayenin iyi yarısı bu. Kötü yarısı ise savunanların açıkları daha hızlı bulup kapatmasına yardım eden aracın, saldırganların da onları aynı hızla istismar etmesine yardım etmesi. Yarış artık aylarla değil, günlerle ölçülüyor.

Sadece internette gezinen sıradan kullanıcılar doğrudan risk altında değil. Sorun sunucularda ve yamaları site sahiplerinin ve barındırma sağlayıcılarının kurması gerekiyor. Vatandaşlar için asıl tehlike, şifre çalmak için korkuyu istismar etmeye çalışacak sahte mesajlar. Hırvatistan'ın ulusal CERT'i yöneticilere şimdiden acil bir uyarı yayımladı. Makedon kurumlarında biri kendi sunucularını kontrol etti mi - ve etmediyse bunu öğrenebilecek miyiz?